152-FZ ve hosting: veriler nerede tutulmalı
Siteniz veya hizmetiniz Rusya vatandaşlarının kişisel verilerini topluyorsa, bu verilerin kaydı ve saklanması Rusya topraklarındaki veritabanlarında yapılmalıdır: bu, 152-FZ sayılı Kanun'un 18. maddesinin 5. fıkrasıdır. VPS seçimi açısından bu, sağlayıcının ülkesinin değil veri merkezinin ülkesinin önemli olduğu, yurt dışındaki kopyaların ise ayrı kurallara tabi olduğu anlamına gelir. Kanunun ne istediğine, sunucu sahibine hangi yükümlülüklerin düştüğüne ve pratikte hangi barındırma düzenlerinin kullanıldığına bakalım.
152-FZ sayılı "Kişisel Veriler Hakkında" Rus kanunu, sipariş formu, üyelik, CRM veya e-posta bülteni olan ve Rusya'daki kişilerle çalışan neredeyse her projeyi ilgilendirir; şirketin Türkiye'de ya da başka bir ülkede olması bunu değiştirmez. Kişisel veri, kanunun 3. maddesine göre belirli veya belirlenebilir bir kişiye ilişkin her türlü bilgidir: ad ve telefon, e-posta, teslimat adresi, sipariş geçmişi. Verilerin neden ve nasıl işleneceğine karar veren kişi operatördür. Bir şirket sitesi için bu, sağlayıcı ya da geliştirici değil, şirketin kendisidir. Aşağıda kanunun verilerin barındırılmasından ne istediğini bulacaksınız. Bu bir kurallar özetidir, hukuki görüş değildir: somut veri işleme faaliyetinizi bir avukatla kontrol edin.
18. maddenin 5. fıkrası ne istiyor?
1 Temmuz 2025'ten itibaren 18. maddenin 5. fıkrası doğrudan bir yasak olarak düzenlenmiştir: kişisel veriler, internet üzerinden de dahil olmak üzere toplanırken, Rusya vatandaşlarının verilerinin Rusya dışındaki veritabanları kullanılarak kaydedilmesi, sistematik hale getirilmesi, biriktirilmesi, saklanması, güncellenmesi ve çıkarılması yasaktır. İstisnalar dardır ve 6. maddede sayılmıştır: uluslararası bir antlaşma veya kanun amacıyla, yargı için, devlet organlarının yetkilerini kullanması için ve gazetecilerin ve medyanın mesleki faaliyeti için işleme. Kullanıcının rızası bu listede yoktur; bu yüzden "verilerimin yurt dışında saklanmasını kabul ediyorum" kutucuğu zorunluluğu ortadan kaldırmaz.
Pratikte kanun şöyle okunur: bir Rusya vatandaşının verilerinin ilk kaydı fiziksel olarak Rusya'da bulunan bir veritabanına yapılmalı ve bu veritabanı ana veritabanı olarak kalmalıdır. Veriler daha sonra yurt dışına kopyalanırsa bu, kendi kuralları olan sınır ötesi aktarımdır; aşağıda ele alınıyor.
VPS seçimi için bunun anlamı
Asıl önemli olan, veritabanını barındıran sunucunun bulunduğu veri merkezinin ülkesidir. Sağlayıcının kayıtlı olduğu ülke bu zorunluluk açısından önemsizdir: Moskova'da veri merkezi olan İngiliz bir şirket uygundur, Hollanda'da sunucusu olan Rus bir şirket uygun değildir. Şirketin ülkesinin sunucunun ülkesinden başka neyi değiştirdiği Hosting sağlayıcısının yargı yetkisi yazısında anlatılıyor.
accsly.io kataloğuna göre (Kasım 2026) lokasyonu bilinen 1.934 VPS sağlayıcısından 218'inin, yani %11'inin Rusya'da sunucusu var. Bunlardan 78'i yalnızca Rusya'da çalışıyor, 140'ı yurt dışı lokasyonlar da sunuyor. Bu yüzden aynı sağlayıcıda Moskova paketi ile Frankfurt paketi yan yana durabilir: markaya değil, belirli paketin ülkesine bakın. Rusya'daki sunucular en sık Moskova'da (149 sağlayıcı), ardından St. Petersburg'da (33), Novosibirsk'te (23) ve Kazan'da (11) bulunuyor. Paketler Rusya'da VPS seçkisinde ve Rusça hazırlanmış 152-FZ için VPS sayfasında toplanmış.
Ana sunucunun yanında verilerin kaydedildiği diğer her yeri de kontrol edin:
- sağlayıcının yedekleri: hangi veri merkezinde ve hangi ülkede tutuldukları;
- yönetilen veritabanları ve depolama alanları: lokasyonları VPS'in lokasyonundan farklı olabilir;
- harici hizmetler: ziyaretçi verilerini kendileri saklayan CRM'ler, e-posta bülteni hizmetleri, formlar, destek sohbetleri ve analiz sistemleri;
- günlükler: sitenin önünde yurt dışında bir proxy varsa ve formlu isteklerin içeriğini günlüğe yazıyorsa, veriler orada da bulunur.
Operatörün yükümlülükleri
Rusya'daki sunucu, birkaç zorunluluktan yalnızca biridir. Operatör ayrıca şunları yapmalıdır:
- Roskomnadzor'a bildirim: 22. madde uyarınca işlemeye başlamadan önce. Bu yükümlülüğün istisnaları azdır. Bildirimde diğer bilgilerin yanında Rusya vatandaşlarının verilerinin bulunduğu veritabanının yeri de belirtilir; bu yüzden veri merkezinin adresini sağlayıcıdan önceden öğrenmek gerekir. Bildirim Roskomnadzor'un kişisel veri portalı üzerinden yapılır.
- Güvenlik önlemleri: 18.1. madde ve 19. madde uyarınca: işleme politikası, sorumlu kişi, tehditlerin ve koruma düzeyinin değerlendirilmesi, erişim yetkilerinin ayrılması, veri taşıyıcılarının kaydı, yedekleme. Yönetimsiz sıradan bir VPS'te bunların neredeyse tamamını sağlayıcı değil müşteri yapar: güncellemeler, güvenlik duvarı, parola yerine anahtarlar, giriş günlükleri. Nereden başlanacağı VPS satın aldıktan sonra ilk 10 adım yazısında anlatılıyor.
- İşleme talimatı: işlemeyi başka bir kişi yürütüyorsa. 6. maddenin 3. fıkrasına göre talimatta verilerle yapılacak işlemler, amaçlar ve koruma gereklilikleri sayılır. Kanun, yalnızca sunucuyu kiralayan ve içeriğine erişimi olmayan sağlayıcının verileri işleyip işlemediği sorusunu doğrudan yanıtlamaz. Yönetilen hizmetlerde, yani yönetim, veritabanları, dosyalara erişimli yedeklemede talimat kesinlikle gerekir. Birçok Rus sağlayıcı talep üzerine bunu imzalar.
Sınır ötesi aktarım
Verilerin yurt dışına aktarılmasına izin verilir, ancak 12. maddenin kurallarına göre. Operatör aktarıma başlamadan önce Roskomnadzor'a ayrı bir bildirim gönderir; bundan önce de yabancı alıcıdan koruma önlemleri, işlemenin sona erdirilme koşulları ve iletişim bilgileri hakkında bilgi alır. Roskomnadzor bildirimi on iş günü içinde inceler. Yeterli koruma sağladığı kabul edilen ülkeler listesindeki ülkelere aktarım bildirimden hemen sonra yapılabilir; diğerlerine ise ancak bu süre dolduktan sonra ve aktarım yasaklanmamış veya kısıtlanmamışsa.
Sınır ötesi aktarım yalnızca veritabanının taşınması değildir. Yurt dışındaki bir sunucuda yedeğin kopyası, siparişlerin yabancı bir CRM'e aktarılması, yabancı bir hizmet üzerinden e-posta gönderimi: bunların hepsi verilerin yurt dışına aktarılmasıdır. Bu zincirlerin her biri bildirimde belirtilmelidir.
Tipik barındırma düzenleri
- Her şey Rusya'da. Site, veritabanı, yedekler ve e-posta Rus veri merkezlerindeki sunucularda. En az belgeyle en basit düzen. Kopyalar için başka bir Rus sağlayıcıdan ikinci bir sunucu alın: böylece tek bir arıza hem verileri hem de kopyayı yok etmez; ayrıntılar VPS yedekleri yazısında.
- Veritabanı Rusya'da, vitrin yurt dışında. Statik sayfalar ve görseller kitleye daha yakın yabancı bir sunucudan veya içerik dağıtım ağından sunulur, formlar, sepet ve kullanıcı hesabı ise verileri doğrudan Rusya'daki sunucuya gönderir. Düzen işe yarar ama disiplin ister: hiçbir form yabancı tarafta veri saklamamalı veya günlüğe yazmamalıdır.
- Ana veritabanı Rusya'da, kopya yurt dışında. Birkaç ülkede kitlesi olan projeler için uygundur. İlk kayıt Rusya'ya yapılır, replika ise sınır ötesi aktarım bildiriminden sonra yurt dışına gider.
- Rus kullanıcıları olan yabancı proje. Hizmet Rusya vatandaşlarının verilerini topluyorsa, yerelleştirme zorunluluğu onu da kapsar. Avrupa Birliği'nde yaşayanların verileri için buna Avrupa kuralları eklenir: GDPR ve hosting seçimi yazısına bakın.
Proje muhasebe ve personel işleriyle çalışıyorsa çalışanların verileri de kişisel veridir. Rusya'daki bu tür işler için Rusça 1C için VPS seçkisi var; faturayla ödeme belgeleri ise faturayla VPS sayfasında anlatılıyor.
Türkiye'deki karşılığı: KVKK
Türkiye'de kişisel veriler 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) ile korunur. KVKK, 152-FZ'deki gibi genel bir yerelleştirme zorunluluğu getirmez: Türkiye'deki kişilerin verileri yurt dışındaki bir sunucuda tutulabilir, ancak bu, 2024'te değiştirilen 9. maddedeki şartlara bağlı bir yurt dışına aktarımdır. Veri sorumluları, kanundaki istisnalar dışında, Veri Sorumluları Siciline (VERBİS) kaydolur. Güncel kararlar ve rehberler Kişisel Verileri Koruma Kurumu'nun sitesinde yayımlanır. Hem Türk hem Rus kullanıcıları olan bir proje iki kanunu birlikte uygular: Rusya vatandaşlarının verilerinin ilk kaydı Rusya'da, Türk kullanıcıların verilerinin aktarımı KVKK şartlarına göre.
Sağlayıcıya ne sorulmalı?
- seçtiğiniz paket için veri merkezinin adresi: Roskomnadzor bildirimi için gereklidir;
- sağlayıcının yedeklerinin nerede tutulduğu ve lokasyonlarının seçilip seçilemeyeceği;
- sağlayıcının işleme talimatını veya gizlilik sözleşmesini imzalayıp imzalamadığı;
- koruma düzeyiniz sertifikalı araçlar gerektiriyorsa, sağlayıcının FSTEK lisanslarının ve korumalı bir segmentinin olup olmadığı;
- şirketlere hangi kapanış belgelerini düzenlediği.